kubelet的驱逐管理器（eviction manager）中没有包含对Pod中挂载的 /etc/hosts 文件的临时存储占用量管理，因此在特定的攻击场景下，一个挂载了 /etc/hosts 的Pod可以通过对该文件的大量数据写入占满节点的存储空间，从而造成节点的拒绝访问（Denial of Service）。本文介绍该漏洞的影响范围、漏洞影响和防范措施。
漏洞概览
- CVE 编号
- CVE-2020-8557
- 文章标题
- CVE-2020-8557 Kubernetes API Server 权限绕过漏洞
- 影响产品或组件
- 未命名漏洞案例
- 漏洞类型
- 以原文描述为准，未单独列出 CWE
- 原文字符数
- 3672
- 资料核验日期
- 2026-09-18
安全风险等级评估
kubelet的驱逐管理器（eviction manager）中没有包含对Pod中挂载的 /etc/hosts 文件的临时存储占用量管理，因此在特定的攻击场景下，一个挂载了 /etc/hosts 的Pod可以通过对该文件的大量数据写入占满节点的存储空间，从而造成节点的拒绝访问（Denial of Service）。该漏洞为中危漏洞，CVSS评分为 5.5 。 具备以下特权的Pod拥有节点上 /etc/hosts 文件的写入权限： Pod中的容器具备CAP_DAC_OVERRIDE系统权限（默认具备）。 Pod以root（UID为0）用户启动或者Pod Security Context中的 allowPrivilegeEscalation 设置为 true （默认为 true ）。
影响范围与修复版本
| 产品或分支 | 受影响范围 | 历史修复边界或说明 |
|---|---|---|
| 未命名漏洞案例 | 下列版本的kubelet组件均在此CVE的影响范围内： kubelet v1 | 按厂商公告与产品矩阵核对 |
| 未命名漏洞案例 | 0~v1 | 按厂商公告与产品矩阵核对 |
| 未命名漏洞案例 | kubelet v1 | 按厂商公告与产品矩阵核对 |
| 未命名漏洞案例 | kubelet<v1 | 按厂商公告与产品矩阵核对 |
原文范围说明：下列版本的kubelet组件均在此CVE的影响范围内： kubelet v1.18.0~v1.18.5 kubelet v1.17.0~v1.17.9 kubelet<v1.16.13
漏洞详情
漏洞机制
kubelet的驱逐管理器（eviction manager）中没有包含对Pod中挂载的 /etc/hosts 文件的临时存储占用量管理，因此在特定的攻击场景下，一个挂载了 /etc/hosts 的Pod可以通过对该文件的大量数据写入占满节点的存储空间，从而造成节点的拒绝访问（Denial of Service）。本文介绍该漏洞的影响范围、漏洞影响和防范措施。
触发条件与权限边界
下列版本的kubelet组件均在此CVE的影响范围内： kubelet v1.18.0~v1.18.5 kubelet v1.17.0~v1.17.9 kubelet<v1.16.13
场景与影响
kubelet的驱逐管理器（eviction manager）中没有包含对Pod中挂载的 /etc/hosts 文件的临时存储占用量管理，因此在特定的攻击场景下，一个挂载了 /etc/hosts 的Pod可以通过对该文件的大量数据写入占满节点的存储空间，从而造成节点的拒绝访问（Denial of Service）。本文介绍该漏洞的影响范围、漏洞影响和防范措施。 下列版本的kubelet组件均在此CVE的影响范围内： kubelet v1.18.0~v1.18.5 kubelet v1.17.0~v1.17.9 kubelet<v1.16.13
检测与排查
资产、配置与日志核查
围绕 CVE-2020-8557 盘点实际资产、软件包或插件版本、启用组件、访问入口和相关日志；修复后回读运行版本与补丁状态，复核业务功能、访问控制和异常进程。不要在生产环境通过投递恶意样本或反复认证失败来验证漏洞。
防范措施与修复验证
修复与缓解
建议您采取以下安全防范措施： 通过使用集群Pod安全策略或其他admission准入机制强制Pod删除CAP_DAC_OVERRIDE系统权限，详情请参见 使用Pod安全策略 。 通过使用集群Pod安全策略或其他admission准入机制限制以root用户启动容器，或设置参数 allowPrivilegeEscalation 为 false ，详情请参见 使用Pod安全策略 。 对节点上的 /etc/hosts 文件进行有效的监控，比如在云安全中心中启用网页防篡改保护，详情请参见 启用网页防篡改保护 。 在集群节点上执行以下命令，可以发现运行在该节点上的Pod存在异常大小的 etc-hosts 文件。 find /var/lib/kubelet/pods/*/etc-hosts -size +1M
修复后的验证
完成变更后回读 未命名漏洞案例 的实际版本、补丁和配置，确认已落在厂商修复范围；需要重启的服务应验证重启结果，再检查相关业务功能、访问控制与日志。临时缓解应单独标注并跟踪正式修复。
参考来源
英文技术描述已按原文语义整理为中文，产品名、协议名、版本号、命令、路径和官方链接予以保留。涉及多 CVE 的文章维持为一篇，不拆分原文章。
暂无评论内容